Experiencia en corrección automática con Protección de id. de Microsoft Entra y el acceso condicional
Con Protección de id. de Microsoft Entra y el acceso condicional, puede hacer lo siguiente:
- Exigir que todos los usuarios se registren para la autenticación multifactor de Microsoft Entra
- Automatizar la corrección de inicios de sesión conflictivos y usuarios en peligro
- Bloquear usuarios en casos específicos.
Las directivas de acceso condicional que integran el riesgo del usuario y del inicio de sesión tienen un impacto en la experiencia de inicio de sesión de los usuarios. El hecho de permitir a los usuarios registrarse para el uso de herramientas como la autenticación multifactor de Microsoft Entra y el autoservicio de restablecimiento de contraseña puede reducir el impacto. Estas herramientas, junto con las opciones de directiva adecuadas, proporcionan a los usuarios una opción de corrección automática cuando lo necesitan, a la vez que se aplican controles de seguridad seguros.
Registro de autenticación multifactor
Cuando un administrador habilita la directiva de Protección de id. que requiere el registro de la autenticación multifactor de Microsoft Entra y se dirige a todos los usuarios, se garantiza que estos pueden usar la autenticación multifactor de Microsoft Entra para aplicar autocorreciones en el futuro. La configuración de esta directiva proporciona a los usuarios un período de 14 días para registrarse y, si no lo han hecho al finalizar este plazo, se les exigirá el registro.
Interrupción de registro
En el inicio de sesión en cualquier aplicación integrada de Microsoft Entra, el usuario recibe una notificación sobre la necesidad de configurar la cuenta para la autenticación multifactor. Esta directiva también se desencadena en la configuración rápida de Windows para nuevos usuarios con un nuevo dispositivo.
Complete los pasos guiados para registrarse en la autenticación multifactor de Microsoft Entra y completar el inicio de sesión.
Corrección automática de riesgos
Cuando un administrador configura directivas de acceso condicional basadas en riesgos, los usuarios afectados se interrumpen cuando alcanzan el nivel de riesgo configurado. Si los administradores permiten la autocorrección mediante la autenticación multifactor, este proceso aparece ante un usuario como un mensaje de autenticación multifactor normal.
Si el usuario puede completar la autenticación multifactor, se corrige su riesgo y puede iniciar sesión.
Si el usuario está en riesgo, no solo el inicio de sesión, los administradores pueden configurar una directiva de riesgo de usuario en el acceso condicional para requerir un cambio de contraseña además de realizar la autenticación multifactor. En ese caso, un usuario ve la siguiente pantalla adicional.
Desbloqueo de administrador de inicio de sesión de riesgo
Los administradores pueden elegir bloquear a los usuarios al iniciar sesión en función del nivel de riesgo. Para ser desbloqueados, los usuarios finales deben ponerse en contacto con el departamento de TI, o bien pueden intentar iniciar sesión desde una ubicación o dispositivo conocidos. La autocorrección no es una opción en este caso.
El personal de TI puede seguir las instrucciones de la sección para desbloquear usuarios a fin de permitir que los usuarios vuelvan a iniciar sesión.
Técnico de alto riesgo
Si su organización tiene usuarios que tienen acceso delegado a otro inquilino y desencadenan un alto riesgo, es posible que se les bloquee el inicio de sesión en esos otros inquilinos. Por ejemplo:
- Una organización tiene un proveedor de servicios administrados (MSP) o un proveedor de soluciones en la nube (CSP) que se encarga de configurar su entorno en la nube.
- Una de las credenciales de los técnicos de MSP se filtra y desencadena un alto riesgo. A ese técnico se le bloquea el inicio de sesión en otros inquilinos.
- El técnico puede aplicar autorrecciones e iniciar sesión si el inquilino principal ha habilitado las directivas adecuadas que requieren el cambio de contraseña para los usuarios de alto riesgo o MFA para los usuarios de riesgo.
- Si el inquilino principal no ha habilitado las directivas de autocorrección, un administrador del inquilino principal del técnico tendrá que corregir el riesgo.